Netzsegmentierung

Ein Solarpark ist selten ein einziges flaches Netz. Hinter dem Router vor Ort liegt meist das Netz der Anlagensteuerung mit Wechselrichtern, Datenloggern und Fernwirktechnik — und daneben ein Netz für die Kameras, eines für Alarm- und Zutrittstechnik und eines für die Netzwerkhardware selbst.

Die Menschen, die an diesen Netzen arbeiten, sind selten dieselben. Die Alarmfirma muss die Kameras erreichen. Bei den Wechselrichtern hat sie nichts zu suchen.

Genau das drückt die Netzsegmentierung in Mirox aus: Jedes Netz wird gekennzeichnet, und jeder Partner erreicht nur die Segmente, die Sie ihm freigegeben haben.

Warum das für KRITIS und NIS2 zählt

Die Anlagensteuerung ist der Teil eines Solarparks, auf den regulatorische Rahmenwerke schauen. KRITIS und NIS2 erwarten von Betreibern, den Zugriff darauf minimal zu halten und nachweisbar zu machen — also beantworten zu können, wer die Steuerung erreichen konnte und wer sie tatsächlich erreicht hat.

Die Segmentierung liefert beide Hälften dieser Antwort:

Least Privilege durch Konstruktion. Eine Partnerorganisation erhält bestimmte Segmente. Alles andere — allen voran das Netz der Anlagensteuerung — wird nicht bloß in der Oberfläche ausgeblendet, sondern taucht im Routing ihres Fernzugriffs gar nicht erst auf. Sie kann es auch dann nicht erreichen, wenn sie die Adresse kennt.
Nachvollziehbarkeit. Jede Fernzugriffssitzung wird im Zugriffsprotokoll der Anlage festgehalten: wer sich verbunden hat, mit welchem Gerät, wann und wie lange. Abgewiesene Versuche ebenfalls.

So holen Sie einen externen Sicherheitsdienstleister auf eine Anlage, ohne seinen Zugriff auf die Erzeugungstechnik auszuweiten — und können genau das belegen.

Die Segmente

Jedes in Mirox hinterlegte Netz kann eine oder mehrere Kennzeichnungen tragen. Sie schließen sich nicht aus: Ein VLAN mit Kameras und einer Alarmzentrale bekommt beide.

Segment	Was hineingehört
Netzwerk-Infrastruktur	Router, Switches, Firewalls, Access Points.
Kameras	Kameras, NVR-Rekorder, Video-Encoder.
Sicherheitstechnik	Alarmzentralen, Zutrittskontrolle, Perimeter- und Einbruchmeldetechnik.
Anlagensteuerung	Wechselrichter, Datenlogger, Fernwirktechnik (SPS).

Anlagensteuerung ist eine Einschränkung, nicht nur ein Etikett. Ein Netz mit dieser Kennzeichnung bleibt für eine segmentbeschränkte Rolle gesperrt, selbst wenn es zusätzlich eine freigegebene Kennzeichnung trägt — denn eine Kamera im selben VLAN wie der Anlagenregler macht den Anlagenregler nicht sicher.

Nicht gekennzeichnete Netze

Ein Netz ohne Kennzeichnung gilt als nicht klassifiziert. Für Ihr eigenes Team ändert sich dadurch nichts: Betreiber sowie technische und kaufmännische Betriebsführung erreichen solche Netze genau wie bisher.

Eine Rolle, deren Reichweite über Segmente definiert ist, kommt dort jedoch nicht hinein. Das ist Absicht: Niemand hat gesagt, was in diesem Netz liegt, und in einem Solarpark kann ein unbeschriftetes Netz sehr wohl Wechselrichter enthalten — Mirox rät hier nicht.

Praktische Folge: Nachdem Sie jemandem die Rolle Sicherheitsbeauftragter zugewiesen haben, kennzeichnen Sie die Netze, die er erreichen soll. Bis dahin sieht er nichts.

Die Rolle Sicherheitsbeauftragter

Sicherheitsbeauftragter ist die erste Rolle, deren Reichweite über diese Kennzeichnungen bestimmt wird. Sie ist für externe Dienstleister für Alarm-, Video- und Perimetertechnik gedacht:

Erreicht die Netzwerkgeräte der freigegebenen Segmente über beide Wege des Fernzugriffs — den Geräte-Proxy und das persönliche VPN.
Liest das Zugriffsprotokoll der Anlage und sieht damit die eigene Spur.
Kann Tickets zu Gefundenem anlegen und verfolgen.
Sieht keinerlei Produktions-, Leistungs-, Erlös- oder Vertragsdaten — diese Teile von Mirox existieren für diese Rolle nicht.
Erreicht niemals ein Netz der Anlagensteuerung.

Die Rolle wird pro Anlage oder pro Portfolio vergeben oder über eine Kooperation mit der Organisation des Partners geteilt. Keine Organisationsrolle wird von selbst dazu.

Einrichtung

Öffnen Sie die Netzwerkeinstellungen der Anlage und kennzeichnen Sie jedes Netz danach, was darin liegt. Das geht beim Anlegen einer VPN-Verbindung oder nachträglich an einer bestehenden.
Weisen Sie dem Partner die Rolle Sicherheitsbeauftragter zu — auf einer einzelnen Anlage, auf einem Portfolio oder über eine Kooperation mit seiner Organisation.
Prüfen Sie das Ergebnis in der Geräteliste der Anlage: Der Partner sieht nur die Geräte innerhalb seiner Segmente.

Kennzeichnungen lassen sich jederzeit ändern. Wird eine entfernt, ist das Netz ab der nächsten Verbindung des Partners nicht mehr erreichbar; wird eine ergänzt, öffnet sich das Netz. Zugangsdaten müssen dafür nicht neu ausgestellt werden.